<<< JPCERT/CC WEEKLY REPORT 2019-07-31 >>>
■07/21(日)〜07/27(土) のセキュリティ関連情報
目 次
【1】複数の Apple 製品に脆弱性
【2】三菱電機製 FR Configurator2 に複数の脆弱性
【3】複数の VPN アプリケーションに脆弱性
【今週のひとくちメモ】サイバーレスキュー隊(J-CRAT)活動状況 [2018年度下半期] を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/
※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/2019/wr192901.txt
https://www.jpcert.or.jp/wr/2019/wr192901.xml
【1】複数の Apple 製品に脆弱性
情報源
US-CERT Current Activity
Apple Releases Multiple Security Updates
https://www.us-cert.gov/ncas/current-activity/2019/07/22/apple-releases-multiple-security-updatesJapan Vulnerability Notes JVNVU#93368270
複数の Apple 製品における脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU93368270/
概要
複数の Apple 製品には、脆弱性があります。結果として、遠隔の第三者が、 任意のコードを実行したり、情報を窃取したりするなどの可能性があります。 対象となる製品およびバージョンは次のとおりです。 - iOS 12.4 より前のバージョン - tvOS 12.4 より前のバージョン - Safari 12.1.2 より前のバージョン - watchOS 5.3 より前のバージョン - macOS Mojave 10.14.6 より前のバージョン - High Sierra (Security Update 2019-004 未適用) - Sierra (Security Update 2019-004 未適用) - iTunes for Windows 12.9.6 より前のバージョン - iCloud for Windows 7.13 より前のバージョン - iCloud for Windows 10.6 より前のバージョン この問題は、該当する製品を Apple が提供する修正済みのバージョンに更新 することで解決します。詳細は、Apple が提供する情報を参照してください。
関連文書 (日本語)
Apple
iOS 12.4 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210346Apple
tvOS 12.4 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210351Apple
Safari 12.1.2 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210355Apple
watchOS 5.3 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210353Apple
macOS Mojave 10.14.6、セキュリティアップデート 2019-004 High Sierra、セキュリティアップデート 2019-004 Sierra のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210348Apple
iTunes for Windows 12.9.6 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210356Apple
Windows 用 iCloud 7.13 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210357Apple
Windows 用 iCloud 10.6 のセキュリティコンテンツについて
https://support.apple.com/ja-jp/HT210358
【2】三菱電機製 FR Configurator2 に複数の脆弱性
情報源
ICS Advisory (ICSA-19-204-01)
Mitsubishi Electric FR Configurator2
https://www.us-cert.gov/ics/advisories/icsa-19-204-01Japan Vulnerability Notes JVNVU#93149757
三菱電機製 FR Configurator2 に複数の脆弱性
https://jvn.jp/vu/JVNVU93149757/
概要
三菱電機株式会社が提供する FR Configurator2 には、脆弱性があります。結 果として、第三者が、ユーザ権限でアクセス可能な任意のファイルを外部に送 信したり、サービス運用妨害 (DoS) 攻撃を行ったりする可能性があります。 対象となるバージョンは次のとおりです。 - FR Configurator2 Version 1.16S およびそれ以前のバージョン この問題は、FR Configurator2 を三菱電機株式会社が提供する修正済みのバー ジョンに更新することで解決します。詳細は、三菱電機株式会社が提供する情 報を参照してください。
関連文書 (日本語)
三菱電機株式会社
FR Configurator2におけるXMLの脆弱性
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2019-001.pdf
【3】複数の VPN アプリケーションに脆弱性
情報源
US-CERT Current Activity
Vulnerabilities in Multiple VPN Applications
https://www.us-cert.gov/ncas/current-activity/2019/07/26/vulnerabilities-multiple-vpn-applications
概要
複数の VPN (Virtual Private Network) アプリケーションには、脆弱性があ ります。結果として、遠隔の第三者が任意のコードを実行するなどの可能性が あります。 対象となる製品およびバージョンは次のとおりです。 - PAN-OS 7.1.18 およびそれ以前のバージョン - PAN-OS 8.0.11-h1 およびそれ以前のバージョン - PAN-OS 8.1.2 およびそれ以前のバージョン - FortiOS 5.6.3 から 5.6.7 までのバージョン - FortiOS 6.0.0 から 6.0.4 までのバージョン - Pulse Connect Secure 8.1R15.1 より前のバージョン - Pulse Connect Secure 8.2R12.1 より前のバージョン - Pulse Connect Secure 8.3R7.1 より前のバージョン - Pulse Connect Secure 9.0R3.4 より前のバージョン - Pulse Connect Secure 9.0R4 より前のバージョン - Pulse Policy Secure 5.1R15.1 より前のバージョン - Pulse Policy Secure 5.2R12.1 より前のバージョン - Pulse Policy Secure 5.3R12.1 より前のバージョン - Pulse Policy Secure 5.4R7.1 より前のバージョン - Pulse Policy Secure 9.0R3.2 より前のバージョン - Pulse Policy Secure 9.0R4 より前のバージョン この問題は、該当する製品を各ベンダが提供する修正済みのバージョンに更新 することで解決します。詳細は、各ベンダが提供する情報を参照してください。
関連文書 (英語)
Palo Alto Networks
Remote Code Execution in GlobalProtect Portal/Gateway Interface (PAN-SA-2019-0020)
https://securityadvisories.paloaltonetworks.com/Home/Detail/158Fortinet
FortiOS system file leak through SSL VPN via specially crafted HTTP resource requests
https://fortiguard.com/psirt/FG-IR-18-384Pulse Secure
SA44101 - 2019-04: Out-of-Cycle Advisory: Multiple vulnerabilities resolved in Pulse Connect Secure / Pulse Policy Secure 9.0RX
https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44101
■今週のひとくちメモ
○サイバーレスキュー隊(J-CRAT)活動状況 [2018年度下半期] を公開
2019年7月24日、IPA は「サイバーレスキュー隊(J-CRAT)活動状況 [2018年 度下半期] 」を公開しました。2018年4月から2019年3月に、「標的型サイバー 攻撃特別相談窓口」に対して寄せられた相談件数、緊急を要する事案に対して レスキュー支援を行った件数、及びオンサイトでの支援件数をまとめています。
参考文献 (日本語)
IPA
サイバーレスキュー隊(J-CRAT)活動状況 [2018年度下半期]
https://www.ipa.go.jp/files/000074949.pdf
■JPCERT/CC からのお願い
-
本レポートに関するお問い合わせは
ew-info@jpcert.or.jp 宛
にお願い致します。ただし、JPCERT/CC では、提供する情報について具体的な内容そのものについてのご質問にはお答えできない場合もあります。またバックナンバーは、以下の URL からご利用いただけます。
https://www.jpcert.or.jp/wr/ -
本メーリングリストの購読申込や購読停止、また登録した電子メールアドレスの変更などにつきましては、以下の URL を参照してください。
https://www.jpcert.or.jp/announce.html -
JPCERT/CC へのセキュリティインシデントの報告方法については以下の URL を参照してください。
https://www.jpcert.or.jp/form/